CVE-2026-82289

WysokieCVSS 7.4

Opublikowano: 28/08/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 29/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Gitingest do wersji 0.3.1 nieprawidłowo waliduje nazwy hostów w funkcji _validate_host, akceptując każdy host z prefiksem git., gitlab. lub github. niezależnie od listy znanych hostów. Atakujący mogą wysyłać URL-e z kontrolowanymi nazwami hostów, aby wywołać połączenia wychodzące do dowolnych hostów i ujawnić tokeny dostępu osobistego GitHub poprzez podstawowe poświadczenia HTTP.

Ocena ryzyka

Ryzyko obejmuje nieautoryzowane połączenia wychodzące i wyciek tokenów dostępu, co może prowadzić do naruszenia bezpieczeństwa kont i danych.

Rekomendacja

Należy zaktualizować Gitingest do wersji z poprawioną walidacją hostów oraz ograniczyć możliwość wysyłania URL-i do zaufanych źródeł.

Inne podatności w Gitingest

CVE-2026-110767Wysokie
Gitingest do wersji 0.3.1 zawiera podatność podążania za dowiązaniami symbolicznymi w ingest_query przy pojedynczym pliku blob, która pozwala nieuwierzytelnionym atakującym na odczyt plików serwera poprzez przesyłanie adresów URL blobów będących dowiązaniami symbolicznymi. Atakujący może zatwierdzić dowiązanie symboliczne w publicznym repozytorium i przesłać jego adres URL blob, powodując zwrócenie przez serwer dowolnego pliku, do którego użytkownik usługi ma dostęp, o rozmiarze do 10 MB.

Oryginalny opis (angielski, źródło NVD)

Gitingest through 0.3.1 fails to properly validate hostnames in _validate_host, accepting any host with a git., gitlab., or github. prefix regardless of known-hosts list membership. Attackers can submit URLs with attacker-controlled hostnames to trigger outbound connections to arbitrary hosts and disclose GitHub personal access tokens via HTTP basic credentials.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS